Anthropic отчиталась об эффективности защиты от дистилляции моделей Claude

Компания Anthropic обнародовала данные о результатах внедрения комплексных мер безопасности, направленных на противодействие промышленным кампаниям по несанкционированному извлечению возможностей языковых моделей семейства Claude. Новые алгоритмы и классификаторы позволили сократить объем собираемых злоумышленниками данных на 90–99%.

Согласно опубликованным материалам, наибольшую ценность для сторонних разработчиков представляют текстовые расшифровки цепочек рассуждений Claude, которые модель формирует перед выдачей окончательного ответа. Такие данные позволяют обучать менее крупные ИИ-системы логике принятия решений флагманских моделей.

Эволюция атак: от пассивного сбора к активному извлечению

Первые масштабные операции подобного рода были зафиксированы в феврале 2026 года и связывались с лабораториями DeepSeek, Moonshot и MiniMax. Тогда через сети фиктивных учетных записей было сгенерировано свыше 16 миллионов запросов к API. В дальнейшем масштабы выросли: в отчете по угроз-аналитике за сентябрь 2026 года упоминается активность семи китайских лабораторий, а крупнейшая зафиксированная кампания Alibaba с мая по июль насчитывала более 151 миллиона взаимодействий, поступавших с тысяч поддельных аккаунтов для дистилляции моделей серии Qwen.

Компания Moonshot применяла схемы скрытой переадресации пользовательских запросов к Claude через свои сервисы под видом собственных моделей Kimi, а также использовала кросс-сессионные атаки повторного воспроизведения для доступа к скрытым метаданным мышления. Подобные действия также фиксировались со стороны Zhipu и Xiaomi. По мере усовершенствования защитных механизмов тактика злоумышленников менялась от пассивного накопления к активным промптам, принуждающим систему раскрывать скрытый мыслительный процесс.

AI Models & Platforms

Разработчики отмечают, что атаки на инфраструктуру ИИ носят промышленный и координированный характер. Для обхода ограничений применяются распределенные прокси-сети и сложные архитектуры сотен фальшивых профилей, имитирующих легитимный пользовательский трафик. Представители индустрии отмечают финансовый конфликт интересов, поскольку компании, занимающиеся дистилляцией, нередко выступают крупными плательщиками за использование API, что создает дополнительную нагрузку на системы мониторинга платформ.

Новые защитные рубежи и результаты их работы

Для пресечения подобных кампаний Anthropic внедрила трехуровневую систему противодействия. Первый уровень включает технологию «сохраненного мышления» (preserved thinking) в моделях Claude Fable 5.1 и Claude Opus 5.5, которая запрещает аккаунтам, созданным после 31 августа 2026 года, редактировать предыдущий контекст. Это исключает один из ключевых векторов принуждения модели к выводу защищенных данных.

Второй уровень базируется на двухступенчатой системе классификаторов на базе конституционального подхода. Она анализирует попытки извлечь скрытые рассуждения на таких моделях, как Claude Sonnet 5.5 и Opus 5/5.5. Данный инструмент блокирует специфические запросы, включая попытки перевода мыслей на другие языки или их дублирование в специальных тегах, удерживая уровень ложноположительных срабатываний ниже 0.1%.

Практическая эффективность и ограничения

Третий уровень мер направлен на пресечение настойчивых попыток: пользователи с аномальной активностью сталкиваются со строгими лимитами и блокировкой учетных записей, а с сентября 24 числа возобновлено взимание платы за запросы, заблокированные системой безопасности до генерации ответа. В результате внедрения этих барьеров количество извлекаемых токенов рассуждений снизилось в 10–100 раз.

Одновременно компания провела оценку предыдущих методов защиты в виде суммаризации: модель, обученная на полных расшифровках рассуждений Claude Opus 4.8, показала результат 80.4% на бенчмарке SWE-bench Verified против 71.8% при обучении только на сжатых версиях. При этом разработчики подчеркивают, что борьба носит перманентный характер, а новые защитные механизмы в редких случаях могут затрагивать легитимных пользователей из-за минимального процента ложных срабатываний.

Кейс GLM-5.3 и рыночная позиция

В качестве ключевого примера рисков несанкционированного копирования компания приводит модель GLM-5.3, разработанную китайской лабораторией Zhipu (Z.ai). Согласно расследованию, при создании данного продукта были заимствованы возможности ведущих американских моделей в сфере кибербезопасности после того, как попытки напрямую скопировать архитектуру Claude были затруднены защитными алгоритмами.

По оценкам программы CAISI при NIST, выпущенная в августе 2026 года модель GLM-5.3 продемонстрировала наиболее высокий уровень кибервозможностей среди открытых весов на момент релиза, хотя все еще отстает от передовых американских систем примерно на четыре месяца. Anthropic выражает обеспокоенность тем, что извлеченные возможности могут интегрироваться в государственные и разведывательные структуры, и подчеркивает необходимость совместных усилий всех разработчиков базовых платформ по оперативной блокировке мошеннического трафика.